WPSplinter: Eine 16 Jahre alte WLAN-Lücke

Mein erster Reflex nach der Meldung war der richtige: nachsehen, was eigentlich bei meinen Eltern im Keller hängt. Ergebnis: ein Speedport, Baujahr unklar, letztes Firmware-Update vermutlich nie. Und damit sind wir beim eigentlichen Thema – nicht bei der Lücke selbst, sondern bei der Frage, wie viele Router in Deutschland seit Jahren unverändert laufen, weil sie tun, was sie sollen.

Die Lücke heißt WPSplinter, ist Mitte Oktober 2026 öffentlich geworden, und sie ist aus einem unangenehmen Grund interessant: Sie ist 16 Jahre alt.

Was WPSplinter ist

Betroffen ist nicht WLAN an sich und auch nicht die Verschlüsselung, sondern WPS – Wi-Fi Protected Setup. Das ist die Komfortfunktion, mit der man ein Gerät per Knopfdruck ins WLAN bringt, ohne das Passwort zu tippen. Die Schwachstelle steckt konkret in Broadcoms Umsetzung dieses Verfahrens, also in Software, die auf sehr vielen Router-Chips läuft.

Das Prinzip, soweit es für Betroffene relevant ist: Speziell präparierte WPS-Nachrichten lösen Speicherfehler aus, über die fremder Code auf dem Router ausgeführt werden kann. Der Sicherheitsforscher Quentin Kaiser hat darüber nach Darstellung von TECHBOOK unter anderem gespeicherte WLAN-Passwörter aus dem Speicher des Geräts gelesen und sich damit Zugang zum Netz verschafft. Der Besitzer muss dafür nichts tun und merkt davon nichts.

Das ist die Kategorie Lücke, die mich am meisten stört: kein Klick auf einen falschen Link, keine Phishing-Mail, kein Nutzerfehler. Nur ein Gerät, das an der Wand hängt und mitspielt.

Warum „WPS einfach ausschalten“ nicht reicht

Das wäre der naheliegende Gegenzug, und genau der funktioniert hier nicht zuverlässig. Der Grund: Der Angriff setzt keinen abgeschlossenen WPS-Vorgang voraus. Laut der Projektseite zur Lücke, auf die sich teltarif.de beruft, kann die anfällige Komponente erreichbar bleiben, „even though it has been disabled in the Configuration menu“.

Der Haken am Menüschalter ist also, dass er die Funktion abschaltet, nicht unbedingt den Dienst dahinter. Das heißt nicht, dass du WPS anlassen sollst – aus, ist aus, und WPS hat schon vorher niemandem gefehlt. Es heißt nur: Dieser Schalter ist kein Ersatz für ein Firmware-Update.

Die Vorgeschichte ist der eigentliche Skandal

Hier wird es für mich unangenehm. Die Zeitleiste, wie sie sich aus den Berichten ergibt:

• Der zugrundeliegende Fehler reicht bis 2010 zurück.
• 2018 veröffentlichte Broadcom einen Patch, der das Problem nach Darstellung des Forschers nur teilweise geschlossen hat.
• Broadcom empfahl den Geräteherstellern anschließend, auf die freie Software hostapd umzusteigen. Nicht alle haben das getan.
• Im Juli 2026 meldete Kaiser den Fehler erneut vertraulich an Broadcom, mit der üblichen Frist von 90 Tagen.
• Broadcom verwies auf den bestehenden Patch und auf die Gerätehersteller. Nachfragen bei Providern und bei CERT/CC brachten kein Ergebnis.
• Am 16. Oktober 2026 veröffentlichte er die Schwachstelle.

Und dann kommt der Punkt, der mir beim Recherchieren am längsten im Kopf geblieben ist: Es gibt keine offizielle CVE-Nummer. Broadcom habe das nach teltarif-Darstellung damit begründet, dass die betroffene Software veraltet und nicht mehr unterstützt sei.

Das ist praktisch relevant und nicht nur Formalie. Eine CVE-Nummer ist der Haken, an dem die ganze Kette hängt: Schwachstellenscanner, Hersteller-Advisories, Behörden-Warnungen, die Support-Datenbank deines Providers. Ohne sie kann man nicht nachschlagen, ob das eigene Gerät betroffen ist – man muss fragen. Und wenn niemand antwortet, steht man da.

Welche Geräte betroffen sind – und was die Listen bedeuten

Hier muss man zwei völlig verschiedene Arten von Listen unterscheiden, und das wird in der Berichterstattung munter vermischt.

Erstens: tatsächlich getestete Geräte. Der Forscher hat Modelle unter anderem von Proximus, Orange, Netgear, Technicolor und Askey untersucht. Allein für Belgien geht die Schätzung von mehr als 1,5 Millionen betroffenen Geräten aus; eine weltweite Zahl gibt es nicht.

Zweitens: Hersteller, die Broadcom-Chips verwenden. In dieser Kategorie nennt PCWorld Asus, TP-Link, Netgear, Cisco und Linksys, für Privat- und Geschäftsgeräte. Das ist aber keine Betroffenheitsliste – es heißt, dass dort die betroffene Software stecken kann. Eine vollständige Modellliste existiert nicht.

Für Deutschland stehen auf der Liste des Forschers laut teltarif konkret der Telekom Speedport W 723V Typ A (Askey), der Speedport W 724V Typ A (Huawei) und der Speedport Hybrid (Huawei), dazu als „wahrscheinlich betroffen“ der Speedport W 724V Typ C (Sercomm). Bei Vodafone ist die EasyBox 804 (Sercomm) genannt, mit möglicher Betroffenheit mindestens bis zur Firmware-Version 05.02_5_4_8_1_325_1_21_1_8.

Zwei Einschränkungen dazu, die ich wichtig finde: Dass ein Modellname auf der Liste steht, heißt nicht, dass jede Hardware- und Firmware-Variante angreifbar ist. Und die Übersicht ist ausdrücklich unvollständig. Umgekehrt heißt das Fehlen eines Modells also leider auch nichts.

Von den Providern gibt es ein uneinheitliches Bild. Vodafone erklärte gegenüber inside-digital, „nahezu alle Router, die bei Vodafone-Kunden tatsächlich im Einsatz sind“ seien nicht betroffen, darunter alle FRITZ!Boxen und Geräte von Hitron, Compal, Sagemcom und Samsung; für eine sehr kleine Zahl alter Router laufe die Prüfung noch. Die Telekom hat auf die Anfrage dieses Mediums nicht reagiert.

Ein Widerspruch, den ich nicht auflösen kann

Bei einem Punkt widersprechen sich die Quellen, und ich schreibe das lieber hin, als mich für eine Variante zu entscheiden.

TECHBOOK schrieb am 21. Oktober 2026, es gebe bislang keine Hinweise auf Angriffe, der Forscher warne aber, dass sich das ändern könne. PCWorld und die deutsche Übernahme bei ChannelPartner schreiben dagegen, die aktive Ausnutzung sei nachgewiesen. Beide Darstellungen stammen von etablierten Fachmedien, beide aus derselben Woche, und die Veröffentlichung des Forschers selbst war für mich nicht abrufbar.

Praktisch ändert dieser Widerspruch an der Handlungsempfehlung nichts – bei einer Lücke ohne vollständigen Patch und ohne CVE prüft man sein Gerät in beiden Fällen. Für die Einordnung ist er trotzdem relevant: Wer irgendwo liest, das Ganze sei „reine Theorie“, liest eine von zwei Darstellungen.

Was du jetzt konkret machst

• Typenschild lesen, nicht raten. Auf dem Aufkleber an der Unterseite steht die genaue Modellbezeichnung samt Typ-Variante. „Speedport“ allein ist keine Modellangabe – Typ A, B und C sind unterschiedliche Geräte von unterschiedlichen Herstellern.
• Firmware-Version notieren und auf Updates prüfen. Im Router-Menü unter „System“ oder „Verwaltung“. Falls dort ein Update wartet: einspielen.
• Provider schriftlich fragen. Mit Modellbezeichnung, Typ-Variante und Firmware-Version. Schriftlich, weil es dann ein Datum hat und weil Hotline-Auskünfte zu so einem Thema erfahrungsgemäß schwanken.
• WPS trotzdem deaktivieren. Es hilft hier nicht garantiert, aber es schadet nie und schließt die anderen, älteren WPS-Probleme.
• Fernzugriff abschalten. Konfiguration aus dem Internet, TR-069-Fernwartung durch Dritte, UPnP – alles, was du nicht brauchst, aus.
• Admin-Passwort ändern, falls es noch das vom Aufkleber ist. Das WLAN-Passwort gleich mit, denn genau das war in diesem Fall das Angriffsziel.
• Gastnetz für Besuch und IoT nutzen. Ein kompromittierter Router hilft dagegen nicht, aber ein kompromittiertes Billig-Gadget schon.
• Austausch planen, wenn es keine Updates mehr gibt. Dazu unten mehr.

Wie man ein Gastnetz bei einem Speedport einrichtet und was es technisch trennt, steht übrigens im Beitrag Gastzugang bei Speedport-Routern. Für die Geräte dahinter – Kameras, Steckdosen, Lautsprecher – ist der Beitrag Sicherheitslücken im Smart Home schließen die passende Ergänzung.

Wann ein Router einfach ersetzt werden muss

Das ist die unbequeme Antwort, und in diesem Fall die einzige belastbare. Ein Gerät, für das es seit Jahren keine Firmware mehr gibt, bekommt auch für diese Lücke keine. Alle Quellen, die ich gelesen habe, enden am selben Punkt: Modell prüfen, Update suchen, und wenn es keins gibt, über Ersatz nachdenken.

Meine Faustregel, unabhängig von diesem Vorfall: Bei einem Router schaue ich vor dem Kauf nicht auf den WLAN-Standard, sondern auf die Update-Historie. Ein Hersteller, der für ein fünf Jahre altes Modell noch Sicherheitsupdates liefert, sagt mehr über die nächsten fünf Jahre als jedes Datenblatt. Und ein Provider-Gerät, das man mieten statt kaufen kann, ist genau deshalb manchmal die bessere Wahl – der Provider hat ein eigenes Interesse daran, es irgendwann zu tauschen.

Was beim Ersatz technisch zählt und warum der Betrieb beider Frequenzbänder in den meisten Wohnungen die richtige Antwort ist, steht im Beitrag 2,4 GHz vs. 5 GHz WLAN.

Der Teil, der mich wirklich nachdenklich macht

Beim Recherchieren bin ich über einen Beitrag gestolpert, der hier im Blog seit Dezember 2014 steht: Sicherheitslücken in Routern und woher sie kommen. Er nennt drei Ursachen – Wartungszugänge, die Entwickler einbauen; Code von Drittanbietern, der nicht im Quelltext vorliegt und deshalb ungeprüft bleibt; und Sonderwünsche der Provider an der Firmware, bei denen Komfort vor Sicherheit geht.

Das ist zwölf Jahre alt und beschreibt den aktuellen Fall erschreckend genau. Eine Komfortfunktion, die kaum jemand braucht. Eine Chip-Herstellersoftware, die in fremden Geräten läuft und von den Geräteherstellern nicht eingesehen wird. Und ein Zuständigkeitsvakuum zwischen Chiphersteller, Gerätehersteller und Provider, in dem ein bekannter Fehler 16 Jahre überlebt.

Daraus folgt für mich etwas Unspektakuläres, aber Handfestes: Der Router ist das einzige Gerät im Haushalt, das rund um die Uhr am offenen Internet hängt und jeden anderen Datenverkehr sieht. Wer sein Heimnetz grundsätzlich verstehen will, fängt genau dort an – dafür gibt es hier den Grundlagenbeitrag Heimnetzwerk einfach erklärt.

Was ich daraus mitnehme

Drei Dinge. Erstens: Ich habe mir einen Kalendereintrag gemacht, zweimal im Jahr, „Router-Firmware prüfen“. Das ist langweilig und genau deshalb wirksam, weil niemand es freiwillig tut.

Zweitens: Komfortfunktionen, die ich nicht nutze, bleiben aus. WPS, UPnP, Fernzugriff, Portfreigaben aus Versuchen, die drei Jahre zurückliegen. Jede abgeschaltete Funktion ist eine, die nicht ausgenutzt werden kann – und WPS ist das Lehrstück dafür, weil die Funktion seit Jahren als problematisch gilt und trotzdem überall mitläuft.

Drittens, und das ist eher eine Beobachtung als ein Tipp: Dass es für eine Lücke dieser Reichweite keine CVE-Nummer gibt, weil die betroffene Software als veraltet gilt, ist die eigentliche Lehre dieser Woche. Software „nicht mehr unterstützt“ zu nennen, löscht sie nicht aus den Geräten, die bei Leuten im Keller hängen. Bei meinen Eltern steht jetzt ein neuer Router. Das war ohnehin überfällig, aber es brauchte offenbar erst eine Schlagzeile.